Android OS von Google aus der Sicht eines IT-Forensikers

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Das Android Software Development Kit

Android ist ein Open-Source-Betriebssystem – ein Ansatz, der nicht ganz unumstritten ist. Google bietet entsprechende Entwickler-Tools an, die auch für Forensiker eine wichtige Rolle spielen. In erster Linie ist für die forensische Arbeit die ADB (Android Debug Bridge) wichtig, da man darüber das Android-Smartphone ansprechen und steuern kann. Außerdem ist ein erweiterter Zugriff auf das System möglich.

Das Software Development Kit (SDK) gibt es für Windows, MacOS sowie Linux, letzterem werden wir uns vorrangig widmen. Zunächst einmal lädt man sich das Android SDK in der aktuellen Version herunter und entpackt es entsprechend in einem beliebigen Ordner, von dem aus man das SDK dann direkt via Terminal ansprechen kann:

./adb devices* daemon not running. starting it now on port 5037 ** daemon started successfully *List of devices attached 028X41XX44e0XXXX device

Vorab sollte man sich vergewissern, dass auch der entsprechende Debugging-Modus am Android-Smartphone aktiviert wurde. Dieser befindet sich in der Regel im Bereich Einstellungen|Anwendungen|Entwicklung|USB-Debugging. Dort muss ein Haken gesetzt sein, damit der korrekte Datenfluss gegeben ist und die Verbindung über ./adb hergestellt werden kann.

Bei einer bestehenden Verbindung kann direkt auf das Dateisystem zugegriffen werden (siehe Bild 3 der Bildergalerie). Unter diesen Umständen ist es möglich, das Gerät und dessen Systemdaten einzusehen und zu bearbeiten. Hierbei ist es jedoch nicht erlaubt – obgleich forensisch von enormer Bedeutung – auch gelöschte oder versteckte Daten sichtbar zu machen.

Betrachtet man nun das Dateisystem mithilfe einer forensischen Software, nachdem man ein forensisches Abbild des Smartphone erstellt hat, so sieht man die Unterschiede gleich auf Anhieb. Praktischerweise setzt man hier auf klassische Applikationen wie dd, guymager oder auch dd_rescue. Je nach Vorgehensweise und Verwertbarkeit der Daten sollte ein Schreibblocker davor geschaltet sein, ein Anbieter ist z.B. Tableau.

Nicht uninteressant für Ermittler oder Forensiker dürfte auch der versteckte Systemordner ~/.bookmark_thumb1 sein. Hier werden Webseiten, die vom User angesurft wurden, in Form von JPG-Dateien als Abbilder abgelegt (siehe Bild 4). Darüber lässt sich das Surfverhalten eines Android-Smartphone-Besitzers nachvollziehen. Ein Umstand, der dies begünstigt, ist das Setzen der so genannten Datei-Flags auf den Zustand „Gelöscht“, obwohl die Daten an sich nicht vernichtet wurden.

Inhalt

• Seite 1: IT-Forensik unter Android
• Seite 2: Forensik-Tools
• Seite 3: Das Android Software Development Kit
• Seite 4: Logfiles auswerten

(ID:2051702)